Seminar Kroki – Sicherheit, Konfiguration und Härtung

Diagramm-Rendering mit klaren Schutzgrenzen betreiben

Diagrammquellen sind aktive Eingaben für unterschiedliche Renderer. Einige Sprachen können Dateien, Bibliotheken oder Netzwerkressourcen referenzieren, wenn dies nicht eingeschränkt wird. Das Seminar behandelt Kroki daher als Eingabeverarbeitungsdienst mit klaren Vertrauens- und Ressourcengrenzen.

Zwei Tage sind notwendig, um Bedrohungen, Kroki-Sicherheitsmodi, Reverse Proxy, Containerhärtung, Netzsegmentierung, Protokollierung und praktische Sicherheitstests zusammenzuführen. Der Schwerpunkt liegt auf nachvollziehbaren Kontrollen statt auf pauschalem Abschalten.

Inhaltsübersicht

• Bedrohungsmodell und Schutzbedarf von Diagrammquellen
• Kroki Safe Modes und Renderer-Einschränkungen
• Datei-, Include- und Netzwerkzugriffe
• Bind-Adresse, TLS und Reverse-Proxy-Grenze
• Authentisierung, Autorisierung und Rate Limiting
• Containerhärtung, Ressourcen und Netzsegmentierung
• Protokollierung, Datenschutz und Updateverfahren
• Sicherheitstests, Abweichungen und Störungsmaßnahmen

Zielgruppe

Das Seminar richtet sich an Informationssicherheitsfachkräfte, Plattform- und Systemadministratoren, DevOps-Teams, Softwarearchitekten und technische Betriebsverantwortliche. Es eignet sich für interne und mandantenübergreifende Kroki-Dienste.

Voraussetzungen

Erforderlich sind Grundkenntnisse in Linux, HTTP, Netzwerken und Containern. Eine Testinstanz von Kroki ist hilfreich. Kenntnisse zu Reverse Proxy, TLS und Sicherheitskonzepten erleichtern die Vertiefung.

Lernstrecke Schritt für Schritt

1. Schritt 1: Schutzobjekte und Angreifermodelle bestimmen. Diagrammquellen, gerenderte Ergebnisse, interne Architekturinformationen, Dienstverfügbarkeit und Betriebsdaten werden bewertet. Interne Nutzer gelten nicht automatisch als vollständig vertrauenswürdig.
2. Schritt 2: Datenwege und Vertrauensgrenzen modellieren. Client, Proxy, Gateway, Companion-Dienste, Dateisystem, Netzwerk und Dokumentationsplattform werden mit erlaubten Kommunikationspfaden dargestellt.
3. Schritt 3: Safe Modes vergleichen. Unsicherer, sicherer und besonders eingeschränkter Betrieb werden funktional getestet. Die gewählte Stufe wird aus dem Anwendungsfall abgeleitet und dokumentiert.
4. Schritt 4: Datei- und Include-Zugriffe begrenzen. PlantUML- und Structurizr-Funktionen für Includes und lokale Ressourcen werden geprüft. Freigaben erfolgen nur über kontrollierte Pfade oder Listen.
5. Schritt 5: Netzwerkzugriffe aus Renderern kontrollieren. Ausgehende Verbindungen werden technisch eingeschränkt. Notwendige Ausnahmen sind explizit, überprüfbar und auf definierte Ziele begrenzt.
6. Schritt 6: Bind-Adresse und interne Erreichbarkeit festlegen. Kroki lauscht nur dort, wo der Dienst benötigt wird. Direkter öffentlicher Zugriff wird von interner Servicekommunikation getrennt.
7. Schritt 7: TLS und Reverse Proxy einrichten. Der Proxy übernimmt Zertifikate, Hostprüfung, Größenlimits und Zeitüberschreitungen. Weitergeleitete Header und Fehlerseiten werden kontrolliert.
8. Schritt 8: Zugriffskontrolle ergänzen. Vorgelagerte Authentisierung, Gruppenfreigaben oder Dienstkonten werden passend zur Umgebung entworfen. Kroki-Endpunkte bleiben nicht unbeabsichtigt anonym erreichbar.
9. Schritt 9: Missbrauch und Überlastung begrenzen. Rate Limits, maximale Quellgröße, Parallelität, Zeitüberschreitungen und Ressourcenlimits reduzieren Denial-of-Service-Risiken.
10. Schritt 10: Container härten. Nicht privilegierter Betrieb, Capability-Reduktion, schreibgeschützte Dateisysteme, temporäre Verzeichnisse und feste Imageversionen werden geprüft.
11. Schritt 11: Netzsegmentierung anwenden. Gateway, Companion-Dienste, Proxy und Clients kommunizieren nur über notwendige Pfade. Management- und Nutzverkehr werden getrennt.
12. Schritt 12: Protokollierung datensparsam gestalten. Quelltexte und kodierte Diagramme werden nicht ungeprüft protokolliert. Ereignisse bleiben dennoch für Betrieb und Sicherheitsanalyse korrelierbar.
13. Schritt 13: Updates und Schwachstellenmanagement organisieren. Images, Rendererbibliotheken und Konfigurationen werden regelmäßig geprüft. Test, Freigabe und Rückfallweg sind verbindlich.
14. Schritt 14: Sicherheitstests durchführen. Include-Versuche, Netzwerkzugriffe, große Quellen, ungültige Formate, parallele Last und unberechtigte Requests werden kontrolliert getestet.
15. Schritt 15: Abweichungen und Vorfälle behandeln. Temporäre Ausnahme, Risikofreigabe, Sofortmaßnahme, Beweissicherung und Rückkehr zum Sollzustand werden in einem kurzen Ablauf beschrieben.

Praxisaufgaben

• Ein Bedrohungsmodell und Datenflussbild für einen internen Kroki-Dienst erstellen.
• Safe Modes und Include-Beschränkungen anhand kontrollierter Quellen testen.
• Reverse Proxy mit Zugriffskontrolle, Größenlimit und Zeitüberschreitung konfigurieren.
• Container- und Netzwerkkontrollen gegen einen Härtungskatalog prüfen.
• Einen Sicherheitstestplan mit erwarteten und tatsächlich beobachteten Ergebnissen durchführen.

Kompetenzziele

• Kroki-Risiken aus Eingaben, Renderern, Netzwerk und Ressourcen systematisch bewerten.
• Safe Modes sowie Include- und Netzwerkbeschränkungen passend konfigurieren.
• TLS, Reverse Proxy und vorgelagerte Zugriffskontrolle sicher gestalten.
• Container, Ressourcen, Netzsegmente und Protokollierung härten.
• Sicherheitstests, Ausnahmen und Vorfallmaßnahmen nachvollziehbar organisieren.